안녕하세요. 디지털 성범죄 형사 사건을 다수 수행해 온 정우람 변호사입니다.
압수수색이나 임의제출로 휴대전화가 수사기관에 넘어가면 뒤이어 진행되는 절차가 포렌식입니다.
"삭제하면 다 복구된다"는 말이 인터넷에 많이 퍼져 있는데, 실무에서 체감하는 현실은 조금 다릅니다. 이 부분을 정확하게 정리해 드리겠습니다.
수사기관이 사용하는 포렌식 도구
모바일 기기 분석에 가장 널리 쓰이는 것은 이스라엘 셀레브라이트(Cellebrite)의 UFED(Universal Forensic Extraction Device)입니다.
경찰청과 검찰이 공식 도입해 사용하고 있으며, 국내 디지털 성범죄 사건의 휴대전화 분석 상당수가 이 장비로 진행됩니다.
그 외에도 MSAB의 XRY, 마그넷 포렌식의 액시엄(AXIOM), 아이폰 대응용 그레이키(GrayKey) 등이 함께 사용됩니다.
PC와 저장매체에는 EnCase, FTK가 주로 활용되고, 국가보안기술연구소에서 개발한 국산 도구 DFT도 40여 개 기관에 확산되어 있습니다.
아이폰의 경우 아이튠즈(iTunes) 백업 방식으로 데이터를 추출하는 사례도 실무에서 확인됩니다. 아이폰의 폐쇄적 구조를 직접 뚫는 대신, 애플이 제공하는 백업 기능을 활용하는 방식입니다.
"삭제하면 다 복구된다"는 말은 사실인가
솔직히 말씀드리면, 삭제된 데이터가 원본 형태 그대로 복구되는 경우는 실무에서 생각보다 많지 않습니다.
포렌식은 제조사가 걸어둔 보안을 뚫고 데이터를 꺼내는 작업으로, 넓은 의미에서 해킹에 가까운 영역입니다.
스마트폰 제조사들은 이용자 프라이버시 보호를 명분으로 보안을 지속적으로 강화하는 업데이트를 내놓고 있고, 포렌식 도구들은 그 뒤를 쫓아가는 구조입니다.
아이폰뿐 아니라 최근 갤럭시 최신 기종에서도 유의미한 데이터가 나오지 않는 경우가 늘고 있습니다.
다만 삭제가 비교적 최근에 이루어진 경우는 이야기가 달라집니다.
파일 자체는 지워졌더라도 "이 자리에 어떤 형식의 어느 정도 크기의 미디어 파일이 있었다"는 수준의 메타데이터가 잠시 남아있는 경우가 있습니다.
시청 이력의 경우 파일이 깨진 형태나 부분적인 형태로 확인되는 사례도 실무에서 발견됩니다.
원본 그대로는 아니지만, 이 흔적만으로도 아청물로 의심되는 파일이 다뤄진 정황이 특정될 수 있다는 점은 유념하셔야 합니다.
비밀번호와 포렌식의 관계
휴대폰 비밀번호를 알려주지 않으면 복구가 어렵다는 말은 반은 맞고 반은 틀렸습니다.
기기를 종료했다가 다시 켜고 한 번도 비밀번호를 해제한 적 없는 경우에 어려운 것입니다.
다만 이를 악용하면 도주 우려·증거인멸 등을 이유로 구속영장이 발부될 수 있습니다.
안티포렌식 작업도 포렌식 과정에서 확인되어 증거인멸로 판단될 여지가 매우 높습니다.
포렌식 참관권
포렌식 절차에서 피의자와 변호인에게는 참관권이 인정됩니다.
대법원은 피의자 참관 없이 진행된 포렌식에서 별건 증거가 발견된 경우 그 증거능력을 인정하지 않는다는 취지의 판결을 유지해왔습니다.
다만 참관이 무조건 유리한 것은 아니며 사안에 따라 판단해야 합니다.
아청물 소지 관련 사안이나 압수수색이 이루어진 상황이라면 가능한 한 빠른 시점에 상담을 받아보시기 바랍니다.
감사합니다.
정우람변호사드림.
로톡의 모든 콘텐츠는 저작권법의 보호를 받습니다.
콘텐츠 내용에 대한 무단 복제 및 전재를 금지하며, 위반 시 민형사상 책임을 질 수 있습니다.